Dotaz: Iptables - PREROUTING a kontrola dnatu ve FORWARD chainu

[italek]

Ahoj. Potřeboval bych povolit všechen provoz který směřuje na port 4430 routeru zvenčí. V tabulce nat provádím prerouting z portu 4430 na jinou IP adresu a port 443. Jenže port 4430 v tabulce filter a chainu FORWARD kontrolovat nemohu, protože ho mezitím prerouting přeložilo. Mohu jen kontrolovat cílovou ip a výsledný přeložený port. Lze nějakým způsobem kontrolovat tok paketů které jdou přímo na port 4430 bez ohledu na co se to přeloží?

Odpovědi

[NN]

Pred preroutingem je jeste probehne mangle, jestli to pomuze, takze nastrelim neco jako:

iptables -t mangle -A prerouting -s $IP --dport 4430 -j LOG

Co myslis tou kontrolou ?

NN

[Filip Jirsák]

Použijte v PREROUTING cíl MARK, ve FORWARDu pak odpovídající pakety poznáte pomocí --mark z modulu mark.

[Michal Kubeček]

Proč nemůžete v chainu FORWARD zapsat pravidlo s už přeloženou adresou a portem?

[Filip Jirsák]

Předpokládám, že chce odlišit provoz, který z venčí přišel na port 4430, od toho, který přišel na 443.

[italek]

Přesně. Ten mark vypadá dobře, díky.